Pertahanan siber berasaskan risiko perlu bermula daripada pimpinan organisasi

Kelajuan serangan yang dipercepat AI mengubah persediaan siber daripada urusan teknikal selepas kejadian kepada keputusan tadbir urus tentang operasi mana perlu dilindungi dan siapa mesti bertindak.

Ancaman siber di Malaysia bukan sahaja bertambah rumit, malah boleh bergerak lebih pantas apabila penyerang menggunakan kecerdasan buatan. Ketua Pegawai Keselamatan Maklumat Telekom Malaysia, Raja Azrina Raja Othman, menerangkan bahawa AI memudahkan pencarian kelemahan, pembentukan kempen pancingan data yang lebih meyakinkan dan pelancaran serangan pada kadar lebih tinggi. Keadaan itu mengehadkan pertahanan yang masih bergantung sepenuhnya pada proses manual.

Konteks operasi kini jauh berbeza daripada ketika MyCERT ditubuhkan pada 1997. Hampir semua perkhidmatan hari ini menggunakan sistem digital yang saling berhubung, daripada perbankan dan perkhidmatan kerajaan kepada operasi korporat serta infrastruktur kritikal negara. Apabila satu sistem teras terjejas, kesannya boleh meliputi operasi, kewangan, data pelanggan, reputasi dan perkhidmatan awam. Sumber tidak memberikan angka insiden atau kerugian untuk tempoh tertentu.

Kerumitan juga datang daripada integrasi aplikasi yang luas. Raja Azrina mengenal pasti ketidakselarasan antara perancangan teknologi maklumat dengan keselamatan maklumat sebagai faktor yang boleh menambah pendedahan organisasi. Maksudnya, keputusan membina, menyambung atau mengubah sistem tidak patut bergerak pada landasan berasingan daripada penilaian keselamatan. Laporan tidak menamakan organisasi yang gagal atau mendakwa semua integrasi aplikasi membawa risiko pada tahap sama.

Tanggungjawab tidak sepatutnya diletakkan hanya pada pasukan teknikal. Pendekatan yang dihuraikan menempatkan keselamatan siber dalam tadbir urus organisasi dan bermula daripada pimpinan. Soalan utama ialah sama ada operasi boleh diteruskan jika sistem penting diceroboh, perkhidmatan kepada pelanggan boleh dikekalkan dan kepercayaan pengguna dapat dilindungi. Jawapan kepada soalan ini menentukan keutamaan perniagaan, bukan sekadar pembelian satu alat keselamatan.

Pelaburan keselamatan pula dicadangkan mengikut risiko dan kemungkinan kesannya kepada operasi. Pendekatan berasaskan risiko tidak menjanjikan bahawa setiap serangan boleh dicegah. Sebaliknya, organisasi perlu bersedia bahawa insiden masih boleh berlaku. Perbezaan terletak pada keupayaan mengesan ancaman lebih awal, bertindak dengan pantas dan memulihkan masalah tanpa gangguan yang berpanjangan. Sumber tidak menetapkan satu bajet, produk atau tahap perbelanjaan yang sesuai untuk semua organisasi.

Persediaan memerlukan pembahagian tugas sebelum krisis, bukannya menentukan pemilik tindakan selepas sistem terganggu. Bidang kepakaran yang disebut merangkumi pengesanan dan pemantauan ancaman, respons insiden serta forensik digital. Kawalan juga diperlukan pada tiga lapisan: rangkaian, infrastruktur dan aplikasi. Perlindungan berlapis mahu meningkatkan peluang ancaman dikesan dan ditangani, tetapi laporan tidak mendakwa satu lapisan boleh menggantikan semua kawalan lain.

Sebagai contoh pelaksanaan, TM membangunkan Pusat Pertahanan Siber TM atau TM CYDEC untuk pemantauan merentas keselamatan rangkaian, infrastruktur dan aplikasi bagi sektor industri serta kerajaan. Syarikat itu turut mempunyai kerangka keselamatan AI untuk mengawal penggunaan teknologi tersebut. Contoh ini menerangkan model yang dibincangkan sumber; ia bukan arahan bahawa semua organisasi wajib menggunakan perkhidmatan TM atau bukti bahawa serangan dapat dihapuskan sepenuhnya.

Bagi organisasi yang mengendalikan pelanggan dan perkhidmatan digital di Kuala Lumpur, Selangor serta seluruh Malaysia, tindakan praktikal ialah memetakan sistem teras, kesan gangguan dan pemilik respons. Keutamaan kawalan perlu mengikut risiko kepada operasi, kewangan, data dan penyampaian perkhidmatan. Penggunaan AI juga memerlukan kerangka keselamatan yang bergerak bersama inovasi. Ukuran persediaan bukan sekadar mempunyai teknologi, tetapi keupayaan mengesan, bertindak dan pulih dengan cepat. Penetapan tugas lebih awal mengurangkan keadaan apabila organisasi hanya menentukan pihak yang perlu bertindak selepas perkhidmatan penting sudah terganggu. Pemantauan berterusan pula menyokong pengesanan sebelum kesan insiden menjadi lebih luas.